Zertifikatsignierungsanforderung (CSR)
Eine CSR (Certificate Signing Request, Zertifikatsignierungsanforderung) ist eine Nachricht, die ein Antragsteller (oder Teilnehmer) innerhalb einer Public-Key-Infrastruktur an eine Zertifizierungsstelle (Certification Authority, CA) sendet, um die Ausstellung eines Public-Key-Zertifikats (digitalen Zertifikats) zu beantragen.
Um solche Zertifikate zu erhalten, erzeugt der Antragsteller zunächst ein Schlüsselpaar, das aus einem öffentlichen und einem privaten Schlüssel besteht. Der private Schlüssel wird sicher gespeichert, während der öffentliche Schlüssel in den bei der Zertifizierungsstelle (CA) eingereichten CSR aufgenommen wird. Nachdem die Zertifizierungsstelle die Anfrage geprüft und genehmigt hat, stellt sie dem Antragsteller ein digitales Zertifikat aus, das mit dem privaten Schlüssel der CA digital signiert ist. Neben Informationen zum öffentlichen Schlüssel enthält der CSR auch einen „Distinguished Name (DN)“ mit strukturierten Angaben wie dem offiziellen Namen und der Anschrift der Organisation.
Zertifizierungsstellen, die als Reaktion auf CSRs Zertifikate ausstellen, lassen sich grob in zwei Arten einteilen: öffentliche und private.
Öffentliche Zertifizierungsstellen sind anerkannte offizielle Stellen, deren Stammzertifikate (Zertifikate, die die Authentizität der Zertifizierungsstelle bestätigen) in Webbrowsern, E-Mail-Clients oder anderen Anwendungen vorinstalliert sind, sodass ausgestellte Zertifikate automatisch validiert werden können. Zertifikate für öffentlich zugängliche Server, beispielsweise SSL-Zertifikate für Webserver oder Zertifikate für die sichere externe Kommunikation, müssen in der Regel von einer öffentlichen Zertifizierungsstelle bezogen werden.
Private Zertifizierungsstellen hingegen werden innerhalb einzelner Organisationen oder Unternehmen gemäß deren internen Betriebsrichtlinien betrieben. Von privaten Zertifizierungsstellen ausgestellte Zertifikate werden von Browsern oder externen Systemen nicht öffentlich als vertrauenswürdig anerkannt. Wird beispielsweise eine Website mit einem von einer privaten Zertifizierungsstelle ausgestellten SSL-Zertifikat öffentlich zugänglich gemacht, zeigt der Browser eine Sicherheitswarnung an, die darauf hinweist, dass das Zertifikat nicht öffentlich validiert wurde. Von privaten Zertifizierungsstellen ausgestellte Clientzertifikate können jedoch problemlos und effektiv zur Authentifizierung in internen Unternehmenssystemen eingesetzt werden.
Darüber hinaus bietet F5 in seinem BIG-IP Access Policy Manager (APM) Funktionen zur Authentifizierung mittels Client-Zertifikaten, einschließlich einer integrierten privaten Zertifizierungsstelle (Private CA), die die Verwaltung und Bereitstellung von Client-Zertifikaten vereinfacht.